Configuration de l'authentification Windows pour les instances de base SQL de données du serveur

Vous utilisez AWS Directory Service for Microsoft Active Directory, également appelé AWS Managed Microsoft AD, pour configurer l'authentification Windows pour une instance de base de données de SQL serveur. Pour configurer l'authentification Windows, procédez comme suit.

Étape 1 : créer un répertoire à l'aide du AWS Directory Service for Microsoft Active Directory

AWS Directory Service crée un Microsoft Active Directory entièrement géré dans le AWS cloud. Lorsque vous créez un AWS Managed Microsoft AD annuaire, il AWS Directory Service crée deux contrôleurs de domaine et deux serveurs Domain Name Service (DNS) en votre nom. Les serveurs d'annuaire sont créés dans deux sous-réseaux situés dans deux zones de disponibilité différentes au sein d'unVPC. Cette redondance permet de s'assurer que votre répertoire reste accessible y compris en cas de défaillance.

Lorsque vous créez un AWS Managed Microsoft AD répertoire, il AWS Directory Service exécute les tâches suivantes en votre nom :

Lorsque vous lancez un AWS Directory Service for Microsoft Active Directory, AWS crée une unité organisationnelle (UO) qui contient tous les objets de votre répertoire. Cette unité d'organisation, qui porte le BIOS nom réseau que vous avez saisi lors de la création de votre répertoire, se trouve dans la racine du domaine. La racine du domaine est détenue et gérée par AWS.

Le compte admin qui a été créé avec votre annuaire AWS Managed Microsoft AD dispose des autorisations pour les activités administratives les plus courantes pour votre unité d'organisation :

Le compte admin dispose également de droits pour exécuter les activités suivantes au niveau du domaine :

La création de l'annuaire prend plusieurs minutes. Lorsqu'il est créé, la valeur du champ Statut devient Actif.

Pour consulter les informations relatives à votre annuaire, choisissez l'ID de l'annuaire dans la liste. Notez la valeur de ID de l'annuaire. Vous avez besoin de cette valeur lorsque vous créez ou modifiez votre instance de base de données de SQL serveur.

Étape 2 : créer le IAM rôle à utiliser par Amazon RDS

Si vous utilisez la console pour créer votre instance de base de données de SQL serveur, vous pouvez ignorer cette étape. Si vous utilisez le CLI ou RDS API pour créer votre instance de base de données de SQL serveur, vous devez créer un IAM rôle qui utilise la IAM politique AmazonRDSDirectoryServiceAccess gérée. Ce rôle permet RDS à Amazon de passer des appels AWS Directory Service pour vous.

Si vous utilisez une politique personnalisée pour rejoindre un domaine, au lieu d'utiliser la AmazonRDSDirectoryServiceAccess politique AWS-managed, assurez-vous d'autoriser l'ds:GetAuthorizedApplicationDetailsaction. Cette exigence entre en vigueur à partir de juillet 2019, en raison d'une modification du AWS Directory Service API.

La IAM politique suivanteAmazonRDSDirectoryServiceAccess, donne accès à AWS Directory Service.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
            "ds:DescribeDirectories", 
            "ds:AuthorizeApplication", 
            "ds:UnauthorizeApplication",
            "ds:GetAuthorizedApplicationDetails"
        ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

Nous vous recommandons d'utiliser les clés de contexte de condition globale aws:SourceArn et aws:SourceAccount dans des relations d'approbation basées sur les ressources pour limiter les autorisations du service à une ressource spécifique. C'est le moyen le plus efficace de se protéger contre le problème du député confus.

Vous pouvez utiliser les deux clés de contexte de condition globale et faire en sorte que la valeur aws:SourceArn contienne l'ID de compte. Dans ce cas, la valeur aws:SourceAccount et le compte dans la valeur aws:SourceArn doivent utiliser le même ID de compte lorsqu'ils sont utilisés dans la même instruction.

Dans la relation de confiance, veillez à utiliser la clé de contexte de condition aws:SourceArn globale avec le nom complet de la ressource Amazon (ARN) des ressources accédant au rôle. Pour l'authentification Windows, veillez à inclure les instances de base de données, comme illustré dans l'exemple suivant.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rds.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceArn": [
                        "arn:aws:rds:Region:my_account_ID:db:db_instance_identifier"
                    ]
                }
            }
        }
    ]
}

Créez un IAM rôle en utilisant cette IAM politique et cette relation de confiance. Pour plus d'informations sur la création de IAM rôles, consultez la section Création de politiques gérées par le client dans le Guide de IAM l'utilisateur.

Étape 3 : Créer et configurer des utilisateurs et des groupes

Vous pouvez créer des utilisateurs et des groupes avec l'outil Utilisateurs et ordinateurs Active Directory. Cet outil fait partie des outils Services AD DS (Active Directory Domain Services) et Services AD LDS (Active Directory Lightweight Directory Services). Les utilisateurs représentent des individus ou des entités individuelles qui ont accès à votre annuaire. Les groupes sont très utiles pour octroyer ou refuser des privilèges à des groupes d'utilisateurs, plutôt que d'appliquer ces privilèges à chaque utilisateur.

Pour créer des utilisateurs et des groupes dans un AWS Directory Service annuaire, vous devez être connecté à une EC2 instance Windows membre de l' AWS Directory Service annuaire. Vous devez également être connecté en tant qu'utilisateur disposant de privilèges pour créer des utilisateurs et des groupes. Pour plus d'informations, consultez la section Ajouter des utilisateurs et des groupes (Simple AD et AWS Managed Microsoft AD) dans le Guide d'AWS Directory Service administration.

Étape 4 : activer le VPC trafic croisé entre l'annuaire et l'instance de base de données

Si vous prévoyez de localiser le répertoire et l'instance de base de données dans le même répertoireVPC, ignorez cette étape et passez àÉtape 5 : créer ou modifier une instance de base de données de SQL serveur.

Si vous prévoyez de placer le répertoire et l'instance de base de données différemmentVPCs, configurez le VPC trafic croisé à l'aide du VPC peering ou de AWS Transit Gateway.

La procédure suivante active le trafic entre les utilisateurs VPCs du VPC peering. Suivez les instructions de la section Qu'est-ce que le VPC peering ? dans le guide de peering d'Amazon Virtual Private Cloud.

Si le répertoire appartient à un autre AWS compte, vous devez le partager.

Étape 5 : créer ou modifier une instance de base de données de SQL serveur

Créez ou modifiez une instance de base de données de SQL serveur à utiliser avec votre annuaire. Vous pouvez utiliser la console ou associer une instance RDS API de base de données à un répertoire. CLI Vous pouvez effectuer cette opération de différentes manières :

L'authentification Windows n'est prise en charge que pour les instances de base de données de SQL serveur dans unVPC.

Pour que l'instance de base de données puisse utiliser l'annuaire de domaine que vous avez créé, les éléments suivants sont nécessaires :

Lorsque vous utilisez le AWS CLI, les paramètres suivants sont requis pour que l'instance de base de données puisse utiliser le répertoire que vous avez créé :

Par exemple, la CLI commande suivante modifie une instance de base de données pour utiliser un répertoire.

Dans Linux, macOS, ou Unix:

aws rds modify-db-instance \
    --db-instance-identifier mydbinstance \
    --domain d-ID \
    --domain-iam-role-name role-name 
            

Dans Windows:

aws rds modify-db-instance ^
    --db-instance-identifier mydbinstance ^
    --domain d-ID ^
    --domain-iam-role-name role-name 		
            

Étape 6 : créer des connexions au SQL serveur d'authentification Windows

Utilisez les informations d'identification de l'utilisateur RDS principal Amazon pour vous connecter à l'instance de base de données SQL du serveur comme vous le feriez pour toute autre instance de base de données. Comme l'instance de base de données est jointe au AWS Managed Microsoft AD domaine, vous pouvez configurer les connexions et les utilisateurs SQL du serveur. Vous effectuez cette opération à partir des utilisateurs et groupes Active Directory de votre domaine. Les autorisations de base de données sont gérées par le biais d'autorisations de SQL serveur standard accordées et révoquées à ces connexions Windows.

Pour qu'un utilisateur Active Directory puisse s'authentifier auprès de SQL SQL Server, un identifiant Windows Server doit exister pour l'utilisateur ou un groupe dont il est membre. Le contrôle d'accès précis est géré par l'octroi et la révocation d'autorisations sur ces SQL connexions au serveur. Un utilisateur qui n'a pas de connexion au SQL serveur ou qui appartient à un groupe avec un tel identifiant ne peut pas accéder à l'instance de base de données SQL du serveur.

L'ALTERANYLOGINautorisation est requise pour créer une connexion au SQL serveur Active Directory. Si vous n'avez créé aucune connexion avec cette autorisation, connectez-vous en tant qu'utilisateur principal de l'instance de base de données à l'aide de l'authentification SQL du serveur.

Exécutez une commande data definition language (DDL) telle que l'exemple suivant pour créer une connexion au SQL serveur pour un utilisateur ou un groupe Active Directory.

USE [master]
GO
CREATE LOGIN [mydomain\myuser] FROM WINDOWS WITH DEFAULT_DATABASE = [master], DEFAULT_LANGUAGE = [us_english];
GO

Pour plus d'informations, consultez CREATELOGIN(Transact-SQL) dans la documentation de Microsoft Developer Network.

Les utilisateurs (humains et applications) de votre domaine peuvent désormais se connecter à l'instance RDS for SQL Server à partir d'un ordinateur client joint au domaine à l'aide de l'authentification Windows.